セキュリティテスト

# セキュリティ課題
昨今、**個人情報の漏洩**や**データ改竄**　また**Webサイトやサーバに対して大量データを送りつける（DoS攻撃・DDoS攻撃）**　セキュリティ事故・被害が多くなり、**セキュリティ意識の重要性**が広く知られるようになった。

また、**セキュリティ人材不足**もあり、今後のセキュリティの対してのあり方も考えないといけないのが実情である。

まずは、**「システム脆弱性」** への対策が直近の優先課題となる。

**脆弱性への対策**を考える

```lang:感染経路の確認
 1.電子メールの添付ファイル(何気なく開封したファイルが対象になっていることも)
 2.ホームページを閲覧
 3.USBメモリ
 4.ファイル共有ソフト
 5.マクロプログラム
 6.アプリのインストール
 7.ブラウザのアドオン
 8.ワンクリック（偽サイトへの誘導）
 9.ワンクリック（SMSからの誘導）
10.ファイルをダウンロード
```

# セキュリティテストを実行するのか

設計上の**欠陥**や**構成エラー**、**ハードウェア**と**ソフトウェアの脆弱性**、**コーディングエラー**、 および**情報システムの能力**に影響を及ぼす可能性があるため。

不正アクセスにより**顧客の個人情報が流出する事故**が多いためである。

また、**十分なセキュリティ対策が実装**されているかどうかを確認する。

結果、脆弱性が見つかり事業の見直し、さらには**企業の存続**と、社会的影響は計り知れない。

```lang:セキュリティ対策
1.ワーム、トロイの木馬対策、プログラム改ざんウイルス
2.情報漏洩対策
3.バックドア(遠隔からコンピュータを操作)対策
```

# 主なテスト種類

```lang:Cross-siteRequestForgery　　リクエスト強要
Webアプリケーションのサーバー側機能を、利用者の意図に反して勝手に実行させる攻撃
```
```lang:クロスサイトスクリプティング
アプリケーションの表示上のバグを悪用して、利用者のブラウザー上で任意のJavaScriptを実行
```
```lang:SQLインジェクション
Webサーバへの不正アクセスが原因で会員情報が流出。
アプリケーションが想定しないSQL文を実行させることにより、 データベースシステムを不正に操作する攻撃方法。要は、正規の認証なく、データベースにアクセスすることが可能
```
```lang:Webサイトの改竄
悪意のある第三者が、管理者の意図しない変更を行う（実際にサイトにアクセスしないとわからないことが多い。）
```

```lang:ディレクトリ・トラバーサル
「../」のような文字列を使ってWebサーバーのディレクトリ・パスをさかのぼり（横断して），公開されていないディレクトリにアクセスする手法
```
```lang:OSコマンド・インジェクション
ディレクトリ・トラバーサルの手法を用いてOSコマンドがあるディレクトリにアクセスし，OSコマンドを実行する手法
```

# スマホアプリセキュリティ診断
外部委託時の概算見積となります。

1画面だいたい**約10万**ぐらい。20画面だと**200万**は必要。
AndroidとiOSだと400万円弱。

[セキュリティ診断ツール](https://www.lac.co.jp/consulting/scc.html)

[一般社団法人日本スマートフォンセキュリティ協会（JSSEC）とは](https://www.jssec.org/report/securecoding.html)

```lang:診断内容

AndroidManifest.xmlの設定
情報アクセス利用権限の設定診断
ライブラリ、フレームワークの脆弱性
なりすまし診断
機密情報漏えい診断（端末内データ情報/外部サーバ通信情報）
HTML表示の脆弱性（WebView）診断 
アプリケーション連携機能不正利用診断
課金不正利用診断
```
# セキュリティツール

1.VADDY
2.BurpSuite
3.Wireshark
4.OWASP ZAP
5.Firefoxアドオン
6.nogotofail

## Webアプリケーション診断：VADDY

脆弱性テスト／侵入テストを行う場合、申請不要です。（2019年に変更）

[AWS：侵入テストを実施](https://aws.amazon.com/jp/security/penetration-testing/)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/55160/bf00c085-7e9a-7b2e-25a7-17870c00bb3f.png)

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/55160/439318bc-b5ce-6a04-1c6b-a13a09eba5b3.png)

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/55160/28413e38-0910-3b02-5198-cb03f4ddec48.png)

セキュリティツールを使用します。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/55160/87a73e94-3f9e-743a-115b-31a3849a6e9b.png)


```lang:VADDY
脆弱性検査を実施。多くの会社での導入実績あり。
まずは、FREE版を使ってみます。
```

[vaddy：脆弱性検査を実施](http://vaddy.net/ja/)
1.使ってみました。そこそこわかりやすいですね。
2.Selenium自動化で定期的に「SQLインジェクション」や「XSS」のテストができます。
3.検査したいURIのクロール情報を作成し、そのURIに対してスキャンを実行
![てすと.png](https://qiita-image-store.s3.amazonaws.com/0/55160/62ecc84d-3330-22ad-6e46-2a4f47b75b14.png)

![vaddy.png](https://qiita-image-store.s3.amazonaws.com/0/55160/59849434-a8a3-89e1-5723-a5adaaac6788.png)


セキュリティテスト結果になります。
特に目立ったものは見つかりませんでした。

ちょこっと内容を確認してみます。
①従量課金のスキャンは提供しません
②継続的にテストする必要がない検査は実装せず

誰でも使いこなせるツールなので、これでセキュリティ面に関してはどうにかできれば。
期待しております。

![テスト.png](https://qiita-image-store.s3.amazonaws.com/0/55160/241ff08d-980f-8839-159d-b3c01c007202.png)

久々に使ってみました。UIが変わっていた。

![Vaddy.net   shimada2012.tank.jp   573.png](https://qiita-image-store.s3.amazonaws.com/0/55160/bbadf6f8-7795-0fb6-16b7-6762d1a53c65.png)




## BurpSuite

```lang:一般的には、「ローカルプロキシツール」
Internet Explorerで使用してください。
リクエストする情報を改ざんして脆弱性
クローリングしてURLのリストを取得
取得したURLに対して脆弱性がないか診断
Burp Suiteはプロキシサーバとなり、Webサイトとブラウザの間に入りリクエストを傍受し脆弱性診断するツール
```
対象URL
https://portswigger.net/burp/

1.サイトを開きます。
https://portswigger.net/burp/download.html
2.FreeEdition(Professionalは、4万弱なので、ちょっと考える)をダウンロード
![BurpSuite.png](https://qiita-image-store.s3.amazonaws.com/0/55160/3f1da0ec-fb99-668a-a746-7d19fd7647da.png)

2.「Free Edition」をダウンロードします。「ファイルを保存」ボタンをクリック
![無題.jpg](https://qiita-image-store.s3.amazonaws.com/0/55160/c271336e-9bde-f214-3d11-393697bc01ef.jpeg)

3.ローカルに落とします。

4.インターネットオプションの接続のローカルエリアネットワークの設定の「LAN設定」ボタンクリック
![IE.jpg](https://qiita-image-store.s3.amazonaws.com/0/55160/78599d90-ecb7-b9f7-3bbd-d3491ba0a93e.jpeg)

5.プロキシサーバーの設定
![無題.jpg](https://qiita-image-store.s3.amazonaws.com/0/55160/03b2d42f-cb4d-afa5-b498-e31c776465f0.jpeg)


6.「burpsuite_free_v16.28.jar」ファイルをクリックし、起動します。

![無題.jpg](https://qiita-image-store.s3.amazonaws.com/0/55160/2eceef25-b7b0-7e30-1ff1-8f3595f25704.jpeg)

## Wireshark
ネットワーク・アナライザ・ソフトウェア
プロトコルごとのカラー表示、キャプチャフィルター、表示フィルター、高度な検索機能などで、問題のトラフィックを識別したり、統計・グラフ機能で分析したりすることが可能
前提として「ネットワークの知識：TCP/IPの知識」
https://www.wireshark.org/

## OWASP ZAP
脆弱性診断ツールです。
https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project


## Firefoxアドオン

```lang:SQLインジェクション
アプリケーションが想定しないSQL文を実行させる
```
アドオン追加はここです。
https://addons.mozilla.org/ja/firefox/addon/sql-inject-me/

## nogotofail

```lang:設定ミスや既知のバグによってHTTPS接続の安全性が損なわれることを防ぐ
nogotofail
```
https://github.com/google/nogotofail